Базовые показатели безопасности Azure для Служба Azure Kubernetes (AKS)

Статья
09/20/2023

Этот базовый план безопасности применяет рекомендации из Microsoft Cloud Security Benchmark версии 1.0 к Служба Azure Kubernetes (AKS). Тест производительности облачной безопасности Майкрософт предоставляет рекомендации по защите облачных решений в Azure. Содержимое сгруппировано по элементам управления безопасностью, определенным в microsoft cloud security benchmark и в соответствующем руководстве, применимом к Служба Azure Kubernetes (AKS).

Вы можете отслеживать эти базовые показатели безопасности и его рекомендации с помощью Microsoft Defender для облака. Политика Azure определения будут перечислены в разделе Соответствие нормативным требованиям на странице портала Microsoft Defender для облака.

Если у компонента есть релевантные Политика Azure определения, они перечислены в этом базовом плане, чтобы помочь вам измерить соответствие элементам управления и рекомендациям microsoft cloud security benchmark. Для реализации определенных сценариев безопасности для некоторых рекомендаций может потребоваться платный план Microsoft Defender.

Примечание

Функции, неприменимые к Служба Azure Kubernetes (AKS), были исключены. Чтобы узнать, как Служба Azure Kubernetes (AKS) полностью сопоставляется с microsoft cloud security benchmark, см. полный файл сопоставления базовых показателей безопасности Служба Azure Kubernetes (AKS).

Профиль безопасности

Профиль безопасности обобщает поведение Служба Azure Kubernetes (AKS), которое может привести к повышению уровня безопасности.

Атрибут поведения службы	Значение
Категория продуктов	Контейнеры
Клиент может получить доступ к HOST/ОС	Нет доступа
Служба может быть развернута в виртуальной сети клиента	True
Хранит неактивный контент клиента	True

Безопасность сети

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Сетевая безопасность.

NS-1: установка границы сегментации сети

Компоненты

Интеграция с виртуальной сетью

Описание. Служба поддерживает развертывание в частной виртуальная сеть клиента (VNet). Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	True	Microsoft

Руководство по настройке. Дополнительные конфигурации не требуются, так как это включено в развертывании по умолчанию.

Справка. Использование сети kubenet с собственными диапазонами IP-адресов в Служба Azure Kubernetes (AKS)

Поддержка групп безопасности сети

Описание. Сетевой трафик службы учитывает назначение правил групп безопасности сети в своих подсетях. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	True	Microsoft

Справочник. Группы безопасности сети

NS-2: защита облачных служб с помощью элементов управления сетью

Компоненты

Приватный канал Azure

Описание: возможность фильтрации IP-адресов в собственном коде службы для фильтрации сетевого трафика (не следует путать с NSG или Брандмауэр Azure). Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. Разверните частные конечные точки для всех ресурсов Azure, поддерживающих функцию Приватный канал, чтобы создать частную точку доступа для ресурсов.

Справка. Создание частного кластера Служба Azure Kubernetes

Отключение доступа к общедоступной сети

Описание. Служба поддерживает отключение доступа к общедоступной сети с помощью правила фильтрации списка ACL IP-адресов на уровне службы (не NSG или Брандмауэр Azure) или с помощью переключателя "Отключить доступ к общедоступной сети". Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. Используйте Azure CLI для отключения общедоступного полного доменного имени в частном кластере Служба Azure Kubernetes.

Справка. Создание частного кластера Служба Azure Kubernetes

Мониторинг в Microsoft Defender для облака.

Встроенные определения Политики Azure — Microsoft.ContainerService:

Имя _{(портал Azure)}	Описание	Действие	Версия _(GitHub)
В службах Kubernetes нужно определить разрешенные диапазоны IP-адресов	Ограничьте доступ к API управления службами Kubernetes, предоставив доступ через API только к IP-адресам в определенных диапазонах. Рекомендуется ограничить доступ к разрешенным диапазонам IP-адресов, чтобы обеспечить доступ к кластеру только для приложений из разрешенных сетей.	Audit, Disabled	2.0.1

Управление удостоверениями

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Identity management(Управление удостоверениями).

IM-1: Использование централизованной системы удостоверений и проверки подлинности

Компоненты

аутентификация Azure AD требуется для доступа к плоскости данных

Описание. Служба поддерживает использование проверки подлинности Azure AD для доступа к плоскости данных. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. Используйте Azure Active Directory (Azure AD) в качестве метода проверки подлинности по умолчанию для управления доступом к плоскости данных.

Справка.Интеграция Azure Active Directory с управлением AKS

Методы локальной проверки подлинности для доступа к плоскости данных

Описание: локальные методы проверки подлинности, поддерживаемые для доступа к плоскости данных, такие как локальное имя пользователя и пароль. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Заметки о функциях. Избегайте использования локальных методов проверки подлинности или учетных записей. По возможности их следует отключить. Вместо этого используйте Azure AD для проверки подлинности, где это возможно.

Руководство по настройке. Вы можете проверять подлинность, авторизовать, защищать и контролировать доступ к кластерам Kubernetes с помощью управления доступом на основе ролей Kubernetes (Kubernetes RBAC) или с помощью Azure Active Directory и Azure RBAC.

Справочник. Параметры доступа и удостоверений для Служба Azure Kubernetes (AKS)

IM-3: Безопасное и автоматическое управление удостоверениями приложений

Компоненты

управляемые удостоверения.

Описание. Действия плоскости данных поддерживают проверку подлинности с помощью управляемых удостоверений. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	True	Microsoft

Заметки о функциях. По умолчанию при создании кластера AKS автоматически создается управляемое удостоверение, назначаемое системой. Если вы используете не Azure CLI для развертывания, но используете собственную виртуальную сеть, подключенный диск Azure, статический IP-адрес, таблицу маршрутов или удостоверение kubelet, назначаемое пользователем, которые находятся за пределами группы ресурсов рабочего узла, рекомендуется использовать удостоверение уровня управления, назначаемое пользователем.

Справочник. Использование управляемого удостоверения в Служба Azure Kubernetes

Субъекты-службы

Описание. Плоскость данных поддерживает проверку подлинности с помощью субъектов-служб. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. Нет текущих рекомендаций Майкрософт по этой конфигурации компонентов. Проверьте и определите, хочет ли ваша организация настроить эту функцию безопасности.

Справка. Создание субъекта-службы

IM-7: Ограничение доступа к ресурсам на основе условий

Компоненты

Условный доступ для плоскости данных

Описание. Доступом к плоскости данных можно управлять с помощью Azure AD политик условного доступа. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. Определите применимые условия и условия для условного доступа Azure Active Directory (Azure AD) в рабочей нагрузке. Рассмотрим распространенные варианты использования, такие как блокировка или предоставление доступа из определенных расположений, блокировка рискованного поведения при входе или требование устройств, управляемых организацией, для конкретных приложений.

Справка. Использование условного доступа с Azure AD и AKS

IM-8: ограничение раскрытия учетных данных и секретов

Компоненты

Поддержка интеграции учетных данных и секретов службы и хранилища в Azure Key Vault

Описание. Плоскость данных поддерживает собственное использование azure Key Vault для хранилища учетных данных и секретов. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. Убедитесь, что секреты и учетные данные хранятся в безопасных расположениях, таких как Azure Key Vault, а не встраивают их в файлы кода или конфигурации.

Справка. Хранилище секретов CSI

Привилегированный доступ

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Privileged Access.

PA-1. Изолируйте и ограничивайте число пользователей с высокими привилегиями и правами администратора

Компоненты

Локальные учетные записи Администратор

Описание. Служба имеет концепцию локальной административной учетной записи. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Если это не требуется для обычных административных операций, отключите или ограничьте все учетные записи локальных администраторов только для аварийного использования.

Справочник. Параметры доступа и удостоверений для Служба Azure Kubernetes (AKS)

PA-7. Следуйте принципу администрирования с предоставлением минимальных прав

Компоненты

Azure RBAC для плоскости данных

Описание. Azure Role-Based контроль доступа (Azure RBAC) можно использовать для управляемого доступа к действиям плоскости данных службы. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. Используйте управление доступом на основе ролей Azure (Azure RBAC) для управления доступом к ресурсам Azure с помощью встроенных назначений ролей. Роли Azure RBAC можно назначать пользователям, группам, субъектам-службам и управляемым удостоверениям.

Справочник. Использование Azure RBAC для авторизации Kubernetes

Мониторинг в Microsoft Defender для облака.

Встроенные определения Политики Azure — Microsoft.ContainerService:

Имя _{(портал Azure)}	Описание	Действие	Версия _(GitHub)
Azure Role-Based контроль доступа (RBAC) следует использовать в службах Kubernetes.	Чтобы обеспечить детализированную фильтрацию действий, которые могут выполнять пользователи, используйте Azure Role-Based контроль доступа (RBAC) для управления разрешениями в кластерах служб Kubernetes и настройки соответствующих политик авторизации.	Audit, Disabled	1.0.3

PA-8. Определение процесса доступа для поддержки поставщиков облачных служб

Компоненты

Защищенное хранилище клиента

Описание. Защищенное хранилище можно использовать для доступа к службе поддержки Майкрософт. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. В сценариях поддержки, когда корпорации Майкрософт требуется доступ к вашим данным, используйте защищенное хранилище для проверки, а затем утвердить или отклонить каждый из запросов на доступ к данным майкрософт.

Справочник. Защищенное хранилище для Microsoft Azure

Защита данных

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Защита данных.

DP-1. Обнаружение, классификация конфиденциальных данных и добавление к ним тегов

Компоненты

Обнаружение и классификация конфиденциальных данных

Описание. Средства (например, Azure Purview или Azure Information Protection) можно использовать для обнаружения и классификации данных в службе. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

DP-2: отслеживание аномалий и угроз, нацеленных на конфиденциальные данные

Компоненты

Защита от утечки и потери данных

Описание: служба поддерживает решение защиты от потери данных для отслеживания перемещения конфиденциальных данных (в содержимом клиента). Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. Если это необходимо для обеспечения соответствия требованиям защиты от потери данных (DLP), можно использовать решение DLP на основе узла из Azure Marketplace или решение Microsoft 365 DLP для применения средств обнаружения и (или) профилактических элементов управления для предотвращения кражи данных.

Справочник. Включение Microsoft Defender для контейнеров

DP-3: шифрование передаваемых конфиденциальных данных

Компоненты

Данные в транзитном шифровании

Описание. Служба поддерживает шифрование передаваемых данных для плоскости данных. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. Включите безопасную передачу в службах, где есть встроенная функция шифрования данных при передаче. Принудительно применяйте ПРОТОКОЛ HTTPS в любых веб-приложениях и службах и убедитесь, что используется ПРОТОКОЛ TLS версии 1.2 или более поздней версии. Устаревшие версии, такие как SSL 3.0, TLS версии 1.0, должны быть отключены. Для удаленного управления Виртуальные машины вместо незашифрованного протокола используйте SSH (для Linux) или RDP/TLS (для Windows).

Справочник. Использование TLS с контроллером входящего трафика на Служба Azure Kubernetes (AKS)

Мониторинг в Microsoft Defender для облака.

Встроенные определения Политики Azure — Microsoft.ContainerService:

Имя _{(портал Azure)}	Описание	Действие	Версия _(GitHub)
Кластеры Kubernetes должны быть доступны только по протоколу HTTPS	Использование HTTPS обеспечивает аутентификацию, а также защищает передаваемые данные от перехвата на сетевом уровне. В настоящее время эта возможность общедоступна для Службы Kubernetes (AKS) и доступна в предварительной версии для Kubernetes с поддержкой Azure Arc. Дополнительные сведения см. на следующей странице: https://aka.ms/kubepolicydoc.	audit, Audit, deny, Deny, disabled, Disabled	8.1.0

DP-4: включение шифрования неактивных данных по умолчанию

Компоненты

Шифрование неактивных данных с помощью ключей платформы

Описание. Поддерживается шифрование неактивных данных с помощью ключей платформы. Любое неактивное содержимое клиента шифруется с помощью этих ключей, управляемых корпорацией Майкрософт. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Заметки о функциях. Шифрование на основе узла отличается от шифрования на стороне сервера (SSE), которое используется службой хранилища Azure. Диски, управляемые Azure, используют функции службы хранилища Azure для автоматического шифрования неактивных данных при их сохранении. При шифровании на основе узла для шифрования данных перед их передачей через службу хранилища Azure используется узел виртуальной машины.

Руководство по настройке. Включите шифрование неактивных данных с помощью управляемых платформой ключей (управляемых Корпорацией Майкрософт), если служба не настраивает их автоматически.

Справка. Шифрование на основе узла в Служба Azure Kubernetes (AKS)

DP-5: использование ключа, управляемого клиентом, для шифрования неактивных данных при необходимости

Компоненты

Шифрование неактивных данных с помощью CMK

Описание. Шифрование неактивных данных с помощью управляемых клиентом ключей поддерживается для содержимого клиента, хранящегося службой. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. Если это необходимо для соответствия нормативным требованиям, определите вариант использования и область службы, в которых требуется шифрование с помощью ключей, управляемых клиентом. Включите и реализуйте шифрование неактивных данных с помощью ключа, управляемого клиентом, для этих служб.

Справка. Шифрование на основе узла в Служба Azure Kubernetes (AKS)

DP-6: безопасное управление ключами

Компоненты

Управление ключами в Azure Key Vault

Описание. Служба поддерживает интеграцию azure Key Vault для любых ключей, секретов или сертификатов клиента. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. Используйте azure Key Vault для создания и управления жизненным циклом ключей шифрования, включая создание, распространение и хранение ключей. Смена и отзыв ключей в Azure Key Vault и службе по определенному расписанию или при прекращении использования или компрометации ключа. Если необходимо использовать управляемый клиентом ключ (CMK) на уровне рабочей нагрузки, службы или приложения, убедитесь, что вы следуете рекомендациям по управлению ключами: используйте иерархию ключей для создания отдельного ключа шифрования данных (DEK) с ключом шифрования ключей (KEK) в хранилище ключей. Убедитесь, что ключи зарегистрированы в Azure Key Vault и ссылаются на них через идентификаторы ключей из службы или приложения. Если вам нужно перенести собственный ключ (BYOK) в службу (например, импортировать ключи, защищенные устройством HSM, из локальных устройств HSM в Azure Key Vault), следуйте рекомендациям по первоначальному созданию и передаче ключей.

Справка. Шифрование на основе узла в Служба Azure Kubernetes (AKS)

DP-7: безопасное управление сертификатами

Компоненты

Управление сертификатами в Azure Key Vault

Описание. Служба поддерживает интеграцию azure Key Vault для любых сертификатов клиента. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. Используйте azure Key Vault для создания и управления жизненным циклом сертификата, включая создание, импорт, смену, отзыв, хранение и очистку сертификата. Убедитесь, что создание сертификата соответствует определенным стандартам без использования небезопасных свойств, таких как недостаточный размер ключа, слишком длительный срок действия, небезопасное шифрование. Настройте автоматическую смену сертификата в Azure Key Vault и службе Azure (если она поддерживается) по определенному расписанию или при истечении срока действия сертификата. Если автоматическая смена не поддерживается в приложении, убедитесь, что они по-прежнему сменяются с помощью ручных методов в Azure Key Vault и приложении.

Справка.Использование TLS с собственными сертификатами с драйвером CSI хранилища секретов

Управление ресурсами

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Управление ресурсами.

AM-2: использование только утвержденных служб

Компоненты

Поддержка службы "Политика Azure"

Описание. Конфигурации служб можно отслеживать и применять с помощью Политика Azure. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. Используйте Microsoft Defender для облака, чтобы настроить Политика Azure для аудита и принудительного применения конфигураций ресурсов Azure. Воспользуйтесь Azure Monitor, чтобы создавать оповещения при обнаружении отклонений в ресурсах. Используйте Политика Azure [запрет] и [развертывание, если не существует] для обеспечения безопасной конфигурации в ресурсах Azure.

Справка. Встроенные Политика Azure AKS

Ведение журнала и обнаружение угроз

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Ведение журнала и обнаружение угроз.

LT-1. Включение возможностей обнаружения угроз

Компоненты

Microsoft Defender для предложения услуг и продуктов

Описание. Служба предоставляет решение для Microsoft Defender для мониторинга и оповещения о проблемах безопасности. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. Microsoft Defender для контейнеров — это облачное решение, которое используется для защиты контейнеров, чтобы вы могли улучшить, отслеживать и поддерживать безопасность кластеров, контейнеров и их приложений.

Справка. Включение Microsoft Defender для контейнеров

Мониторинг в Microsoft Defender для облака.

Встроенные определения Политики Azure — Microsoft.ContainerService:

Имя _{(портал Azure)}	Описание	Действие	Версия _(GitHub)
В кластерах Службы Azure Kubernetes должен быть включен профиль Defender	Microsoft Defender для контейнеров предоставляет ориентированные на облако возможности безопасности для Kubernetes, включая усиление защиты среды, защиту рабочих нагрузок и защиту во время выполнения. При включении SecurityProfile.AzureDefender в кластере Службы Azure Kubernetes в кластере развертывается агент для сбора данных о событиях безопасности. Ознакомьтесь с дополнительными сведениями о Microsoft Defender для контейнеров в https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-introduction?tabs=defender-for-container-arch-aks.	Audit, Disabled	2.0.1

LT-4. Включение ведения журнала для исследования безопасности

Компоненты

Журналы ресурсов Azure

Описание. Служба создает журналы ресурсов, которые могут предоставлять расширенные метрики и ведение журнала для конкретной службы. Клиент может настроить эти журналы ресурсов и отправить их в собственный приемник данных, например в учетную запись хранения или рабочую область Log Analytics. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. Включите журналы ресурсов для службы. Например, Key Vault поддерживает дополнительные журналы ресурсов для действий, которые получают секрет из хранилища ключей, или Azure SQL имеет журналы ресурсов, отслеживающие запросы к базе данных. Содержимое журналов ресурсов зависит от типа ресурса и конкретной службы Azure.

Справочник. Сбор журналов ресурсов

Управление состоянием безопасности и уязвимостями

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Управление состоянием и уязвимостями.

PV-3: настройка безопасных конфигураций вычислительных ресурсов

Компоненты

Пользовательские образы контейнеров

Дерипция. Служба поддерживает использование предоставленных пользователем образов контейнеров или предварительно созданных образов из Marketplace с предварительно примененными определенными базовыми конфигурациями. Подробнее

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. При использовании Реестр контейнеров Azure (ACR) с Служба Azure Kubernetes (AKS) необходимо установить механизм проверки подлинности. Настроить необходимые разрешения между ACR и AKS можно с помощью Azure CLI, Azure PowerShell и портал Azure. Интеграция AKS с ACR назначает роль AcrPull управляемому удостоверению Azure Active Directory (Azure AD), связанному с пулом агентов в кластере AKS.

Справка. Интеграция Реестр контейнеров Azure с Служба Azure Kubernetes — Служба Azure Kubernetes

PV-5: выполнение оценок уязвимостей

Компоненты

Оценка уязвимостей с помощью Microsoft Defender

Дерипция. Служба может быть проверена на наличие уязвимостей с помощью Microsoft Defender для облака или других встроенных Microsoft Defender служб оценки уязвимостей (включая Microsoft Defender для сервера, реестра контейнеров, Служба приложений, SQL и DNS). Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. По умолчанию при включении плана с помощью портал Azure Microsoft Defender для контейнеров настраивается для автоматической установки необходимых компонентов для обеспечения защиты, предоставляемой планом, включая назначение рабочей области по умолчанию.

Справочник. Управление уязвимостями для Служба Azure Kubernetes — Служба Azure Kubernetes

резервное копирование и восстановление

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Backup and recovery (Эталон безопасности облака Майкрософт: резервное копирование и восстановление).

BR-1: обеспечение регулярного автоматического резервного копирования

Компоненты

Azure Backup

Описание. Резервная копия службы может выполняться службой Azure Backup. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. Включите Azure Backup и настройте источник резервного копирования (например, azure Виртуальные машины, SQL Server, базы данных HANA или общие папки) с требуемой частотой и требуемым периодом хранения. Для Виртуальные машины Azure можно использовать Политика Azure для включения автоматического резервного копирования.

Справка. Резервное копирование Служба Azure Kubernetes с помощью Azure Backup

Возможность резервного копирования в собственном коде службы

Описание: служба поддерживает собственные возможности резервного копирования (если не используется Azure Backup). Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Дальнейшие действия

Ознакомьтесь с обзором производительности облачной безопасности Майкрософт.
Дополнительные сведения о базовой конфигурации безопасности Azure.